nftablesアクティビティを正しく記録して表示する方法は？

Question

あなたはそれを使用することができますnftraceパケットフローを追跡します。非常に冗長ですが、カーネルログには入らず、マルチキャストネットリンクソケットを介して配布されます（つまり、何も受信しない場合、トレースは "/ dev / null"にのみ入ります）。

本当にすべてを追跡したい場合は、追跡してください。事前ルーティングそして出力優先順位が低いです。nft list ip table filter実際に表示される内容は別の表を使用することをお勧めします。nftablesのiptables操作しないでくださいxtマッチングレイヤAPIとの互換性（ただし、トレースで使用するのは安全です）また、iptablesには次のような他のテーブルがあるかもしれないことに注意する必要があります。ナットテーブル。

traceall.nftしたがって、ロードされたファイルのルールセットを使用すると、次のようになりますnft -f traceall.nft。

table ip traceall
delete table ip traceall

table ip traceall {
    chain prerouting {
        type filter hook prerouting priority -350; policy accept;
        meta nftrace set 1
    }

    chain output {
        type filter hook output priority -350; policy accept;
        meta nftrace set 1
    }
}

これで、次のコマンドを使用して非常に詳細なIPv4トレースを追跡できます。

nft monitor trace

コンテナ内で実行していても同じことを行います（通常はログターゲットではありません）。

これらのトレースを他の場所で有効または有効にする前に、優先順位の低いルールに条件を入れることで、すべてのフック/チェーン追跡を防ぐことができます。この図は、イベントの順序を理解するのに役立ちます。一般ネットワークのNetfilterとパケットフロー。

同等のものを使用することを選択した場合-j TRACE目標はiptables、その方にもご相談くださいxtables-monitor、なぜならnftablesのiptables行動を変える（比較iptables - 旧バージョン）。

OPの質問に答えながら、質問とログの問題に関するいくつかのおおよその推測は次のとおりです。

Docker自体がコンテナで実行されている場合、ログを使用できない可能性があります。ホストに提供することができ、そしてすべてのコンテナsysctl -w net.netfilter.nf_log_all_netns=1カーネルメッセージには名前空間インスタンスがないため、カーネルメッセージのクエリが許可されます。
カウンターは丸太ルールIPフィルタ入力は0ですが、前のルールのカウンタは減らす文はそうではありません。これは、ロギングルールが遅すぎて作成されたことを意味します。減らす。これ丸太ルール（またはむしろiptables）-j LOGを挿入する必要があります今後決勝減らす絶対にアクセスできない場所に追加されない文です。
Dockerに関連する唯一の入力規則はiifname "docker0" counter packets 0 bytes 0 accept。コンテナがプライマリDockerネットワークにない場合、ホストに到達することを許可するルールはありません。

これをテストするには、ルールを追加してみてください。結果が以前に挿入されたことを確認します。減らすルール。使用iptables、ルール追加の防止nftables互換性がない可能性があります。nftablesのiptables:
```
iptables -I INPUT 8 -i "br-*" -j ACCEPT
```

Answer 1